Saleorにおいて、GraphQLクエリにリソース枯渇の脆弱性が存在します

この脆弱性を悪用されると、攻撃者はSaleorのAPIエンドポイントに大量のGraphQLクエリを送信することで、サーバーのリソースを過剰に消費させることができます。これにより、Saleorのパフォーマンスが著しく低下し、最終的にはサービスが利用不能になる可能性があります。攻撃者は、顧客の注文処理や決済処理を妨害し、ビジネスに深刻な損害を与える可能性があります。この攻撃は、特に高負荷時に影響を与えやすく、大規模なe-commerceサイトでは、広範囲にわたるサービス停止を引き起こす可能性があります。類似のGraphQLインジェクション攻撃は、他のアプリケーションでも確認されており、Saleorの脆弱性は、GraphQL APIのセキュリティ設計における潜在的な問題を浮き彫りにしています。

E-commerce businesses utilizing Saleor versions 2.0.0 through 3.23.0-a.0 (excluding patched versions) are at risk. This includes organizations running Saleor in production environments, particularly those with publicly accessible GraphQL endpoints. Shared hosting environments where multiple Saleor instances share resources are also at increased risk, as an attack on one instance could impact others.

• nodejs / server:

ps aux | grep saleor

• nodejs / server:

journalctl -u saleor -f | grep "GraphQL query exceeded"

• generic web: Use a web proxy or browser developer tools to inspect GraphQL requests. Look for unusually long or complex queries with many aliases or chained mutations.

1. 2026-04-08Disclosure

   disclosure

1. 予約済み2026-04-02
2. 公開日2026-04-08
3. EPSS 更新日2026-04-16

Saleorのバージョン3.23.0a3、3.22.47、3.21.54、または3.20.118へのアップデートが推奨されます。アップデートが利用できない場合は、GraphQL APIへのアクセスを制限するWAF（Web Application Firewall）ルールを実装することで、攻撃を軽減できる可能性があります。具体的には、単一のAPI呼び出しに含まれるGraphQLクエリの数を制限するルールや、特定のGraphQLクエリパターンをブロックするルールを適用します。また、Saleorのログを監視し、異常なGraphQLクエリのパターンを検出することも有効です。アップデート後、SaleorのAPIエンドポイントに負荷をかけ、正常に動作することを確認してください。